L’art. 25 GDPR, le Linee guida EDPB 4/2019 e la prassi sanzionatoria del Garante italiano e delle autorità europee: cosa impone la legge allo sviluppatore di app, al product manager e al titolare del trattamento che mette in commercio un servizio digitale
I
Sommario
Ogni giorno vengono scaricate nel mondo oltre 250 milioni di applicazioni mobili. Ciascuna di esse, nella misura in cui raccoglie, elabora o trasmette dati personali degli utenti, è soggetta a un insieme di obblighi giuridici che non si esaurisce nella stesura di una privacy policy e nella raccolta di un consenso: riguarda, più in profondità, le scelte di architettura del sistema — le funzionalità attivate di default, i permessi richiesti al momento dell’installazione, la granularità delle impostazioni di privacy offerte all’utente, i flussi di dati verso terze parti incorporati nel codice. È su questo piano — il piano del design, non quello delle politiche — che si gioca oggi la conformità al GDPR per la stragrande maggioranza degli operatori digitali.
Il Regolamento (UE) 2016/679 ha codificato questa intuizione nell’art. 25, rubricato «Protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita»: due principi — privacy by design e privacy by default — che impongono al titolare del trattamento di integrare la protezione dei dati fin dalla fase di progettazione del servizio, e di fare sì che, per impostazione predefinita, vengano trattati solo i dati personali necessari per ciascuna finalità specifica.
Questi principi — che per anni sono stati considerati mere enunciazioni di buone pratiche, prive di conseguenze sanzionatorie concrete — sono diventati uno dei fronti più caldi dell’enforcement del GDPR in Europa. Il Garante per la protezione dei dati personali italiano, la CNIL francese, l’ICO britannico e il Data Protection Commissioner irlandese hanno adottato, negli ultimi tre anni, una serie di provvedimenti che sanzionano direttamente violazioni della privacy by design e by default, aprendo una stagione nuova in cui la scelta di design diventa scelta giuridicamente rilevante e potenzialmente costosa.
Il presente articolo ricostruisce il quadro normativo e applicativo, con particolare attenzione ai casi più significativi e alle indicazioni operative per chi sviluppa o gestisce applicazioni digitali destinate al mercato europeo.
II
Principio di diritto
«Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, il titolare del trattamento mette in atto, sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso, misure tecniche e organizzative adeguate (…) al fine di attuare in modo efficace i principi di protezione dei dati e di integrare nel trattamento le necessarie garanzie» — art. 25, par. 1, Reg. UE 2016/679 (GDPR).
L’art. 25 GDPR articola due distinti obblighi che operano in fasi diverse del ciclo di vita del servizio digitale. Il primo — la privacy by design (par. 1) — si applica in fase di progettazione e sviluppo: il titolare del trattamento deve integrare nella struttura tecnica del servizio le garanzie di protezione dei dati, non aggiungerle successivamente come «strato» esterno. Il secondo — la privacy by default (par. 2) — si applica al momento dell’erogazione del servizio: le impostazioni predefinite devono essere configurate in modo da trattare soltanto i dati personali necessari per la finalità specifica, «anche riguardo alla quantità dei dati personali raccolti, alla portata del trattamento, al periodo di conservazione e all’accessibilità».
La norma individua quattro parametri che il titolare deve considerare nella determinazione delle misure adeguate: lo stato dell’arte delle tecnologie di protezione disponibili; i costi di attuazione, che devono essere proporzionati; la natura e il contesto del trattamento; e il rischio per i diritti e le libertà degli interessati. La costellazione di questi quattro fattori non è fissa nel tempo: ciò che era «adeguato» tre anni fa può non esserlo più oggi, man mano che tecnologie più efficaci di protezione diventano disponibili a costi accessibili.
Il considerando 78 GDPR chiarisce la ratio: «La protezione dei diritti e delle libertà delle persone fisiche riguardo al trattamento dei dati personali richiede l’adozione di misure tecniche e organizzative adeguate ad assicurare il rispetto delle prescrizioni del presente regolamento. Per poter dimostrare la conformità al presente regolamento, il titolare del trattamento dovrebbe adottare politiche interne e attuare misure che rispettino in particolare i principi della protezione dei dati fin dalla progettazione e della protezione dei dati per impostazione predefinita».
III
Inquadramento sistematico e terminologico
La genesi: i sette principi fondativi di Ann Cavoukian
La privacy by design non nasce con il GDPR: è un concetto elaborato dalla dottrina informatico-giuridica a partire dagli anni Novanta, per opera principalmente di Ann Cavoukian, allora Information and Privacy Commissioner dell’Ontario (Canada). Nel 1995, Cavoukian enunciò i sette principi fondativi della privacy by design, che il legislatore europeo del 2016 ha sostanzialmente recepito nell’art. 25 GDPR: (1) approccio proattivo e non reattivo; (2) privacy come impostazione predefinita; (3) privacy incorporata nel design e non aggiunta successivamente; (4) piena funzionalità, senza compromessi tra privacy e funzionalità del servizio; (5) sicurezza end-to-end per l’intero ciclo di vita del dato; (6) visibilità e trasparenza sulle pratiche adottate; (7) rispetto per la privacy dell’utente come centro del design.
L’importanza di questa genealogia è non soltanto storica: nell’interpretazione dell’art. 25 GDPR, il Gruppo di Lavoro ex art. 29 (ora EDPB) ha costantemente richiamato questi principi come chiavi ermeneutiche della norma, conferendo loro rilevanza giuridica diretta nell’applicazione del regolamento.
Le Linee guida EDPB 4/2019 sull’articolo 25 GDPR
Il Comitato europeo per la protezione dei dati ha adottato, il 20 ottobre 2020, le Linee guida 4/2019 sulla protezione dei dati fin dalla progettazione e per impostazione predefinita (versione 2.0), che costituiscono il documento interpretativo di riferimento per l’applicazione dell’art. 25 GDPR. Le Linee guida hanno chiarito una serie di questioni applicative di grande rilievo pratico.
Sulla privacy by design, l’EDPB ha precisato che le misure tecniche e organizzative devono essere integrate nelle decisioni di progettazione prima che il servizio sia sviluppato, non aggiunte in un secondo momento: una funzionalità che raccoglie dati non necessari non può essere «sanata» da una privacy policy che ne giustifichi il trattamento. L’EDPB ha individuato come misure tecniche rilevanti la pseudonimizzazione, la minimizzazione dei dati sin dall’origine, la cifratura at rest e in transit, l’aggregazione e l’anonimizzazione dei dati per finalità statistiche, e la separazione dei database contenenti dati di categorie diverse.
Sulla privacy by default, l’EDPB ha adottato un’interpretazione particolarmente rigorosa: il titolare deve dimostrare che le impostazioni predefinite corrispondono al trattamento strettamente necessario, e che l’utente che non modifica le impostazioni è protetto dal trattamento di dati ulteriori rispetto al minimo indispensabile. Ciò implica, concretamente, che le funzionalità di condivisione dei dati con terze parti, il tracciamento della posizione, la visibilità del profilo all’esterno della rete di contatti — tutte queste funzionalità devono essere disattivate di default, e l’utente deve esplicitamente attivarle se lo desidera.
Il campo applicativo: chi è obbligato dall’art. 25 GDPR
L’art. 25 si rivolge al titolare del trattamento, non allo sviluppatore software in quanto tale. Tuttavia, nella pratica, l’adempimento degli obblighi di privacy by design richiede necessariamente il coinvolgimento degli sviluppatori, che devono implementare le misure tecniche richieste. Il titolare che ingaggi uno sviluppatore esterno per la realizzazione di un’app è responsabile di verificare che il prodotto finito rispetti l’art. 25: il contratto di sviluppo deve includere specifiche tecniche di privacy by design e il titolare deve effettuare verifiche di conformità prima del lancio.
L’art. 25, par. 3, estende alcuni obblighi specifici anche ai produttori di software che realizzano strumenti di trattamento: questi sono tenuti a sviluppare prodotti che consentano ai loro clienti — i titolari — di adempiere agli obblighi dell’art. 25. Un produttore di un CRM, di una piattaforma di e-commerce o di un sistema di gestione HR che non offra configurazioni di privacy by design conformi all’art. 25 espone i propri clienti a rischi di sanzioni, con conseguenti possibilità di azioni di rivalsa contrattuali nei confronti del fornitore.
V
La fattispecie: casi concreti e giurisprudenza
1. I permessi eccessivi nelle app mobile: il problema dell’over-collection
Una delle violazioni dell’art. 25 più frequentemente rilevate nella prassi applicativa riguarda la richiesta di permessi eccessivi da parte delle applicazioni mobili. La pratica del cosiddetto permission creep — la tendenza delle app a richiedere all’installazione un numero di permessi di sistema (accesso alla rubrica, alla geolocalizzazione, al microfono, alla fotocamera, all’archivio fotografico) molto superiore a quanto strettamente necessario per le funzionalità dichiarate — è una violazione diretta del principio di minimizzazione (art. 5, par. 1, lett. c) e del principio di privacy by design (art. 25, par. 1).
Il Garante italiano, in diversi procedimenti avviati tra il 2022 e il 2024 nell’ambito della sua attività di vigilanza sulle app disponibili nell’App Store e sul Google Play Store, ha riscontrato che numerose applicazioni di categorie molto diverse — dai servizi di mobilità urbana alle app di salute e fitness, dai giochi per bambini alle app di gestione domestica — richiedevano permessi di sistema non necessari per le proprie funzionalità principali. In particolare, l’accesso permanente alla geolocalizzazione e alla rubrica telefonica in assenza di funzionalità che lo richiedessero è stato identificato come violazione sistematica del principio di minimizzazione e di privacy by design.
Garante per la protezione dei dati personali – Indagine sulle app di contact tracing e monitoraggio 2022-2023
Il Garante ha avviato, a partire dal 2022, un ciclo di indagini sulle applicazioni mobili disponibili sui principali app store italiani, con particolare attenzione alle app di salute, benessere, fitness e monitoraggio personale. Le indagini hanno accertato violazioni diffuse dell’art. 25 GDPR, tra cui: raccolta di dati biometrici (frequenza cardiaca, pattern di movimento, dati del sonno) senza adeguata base giuridica; trasmissione dei dati raccolti a terze parti di advertising embedded nel codice dell’app senza informativa adeguata e senza consenso specifico; retention illimitata dei dati storici in assenza di meccanismi automatici di cancellazione; impossibilità per l’utente di esportare o cancellare i propri dati. In alcuni casi, il Garante ha ordinato la modifica obbligatoria del codice dell’app entro termini brevi, sotto pena di sanzione.
2. Il Children’s Code britannico: il modello più avanzato di privacy by design per i minori
ICO (Information Commissioner’s Office, UK) – Age Appropriate Design Code (Children’s Code) – Entrato in vigore il 2 settembre 2021
Il Codice sul Design Appropriato all’Età (Children’s Code), adottato dall’autorità garante britannica ai sensi del Data Protection Act 2018, è il documento normativo più avanzato in materia di privacy by design specificamente orientata ai servizi digitali fruiti da minori. Il Codice introduce 15 standard di design obbligatori per qualsiasi servizio online «ragionevolmente accessibile» ai minori di 18 anni nel Regno Unito. Tra i più significativi: la valutazione dell’età come condizione di accesso; il geolocation tracking disattivato per default; il profilo degli utenti minori impostato come privato per default; il divieto di nudge techniques per indurre i minori a condividere più dati del necessario; il divieto di profilazione comportamentale dei minori a fini pubblicitari. Il Children’s Code è diventato un modello di riferimento internazionale: diversi States americani (California, Colorado, Texas) hanno adottato normative analoghe, e l’EDPB ha pubblicato nel 2023 linee guida sulle best practices per la protezione dei dati personali dei minori che richiamano esplicitamente il modello britannico.
3. TikTok e il design non conforme alla privacy by default: le sanzioni europee
TikTok è diventato il caso emblematico di violazione sistematica della privacy by design e by default nell’ordinamento europeo. Nel marzo 2023, l’Autorità garante irlandese (DPC) ha inflitto a TikTok Technology Limited una sanzione di 345 milioni di euro per violazioni del GDPR relative al design del servizio per i minori: il profilo degli utenti minori era impostato di default come pubblico (anziché privato); la funzionalità «Family Pairing» consentiva ad adulti non verificati di collegare il proprio account a quello di un minore; l’impostazione «Direct Message» era attivata di default per i minori di 16 anni pur trattando dati dell’interested minore. La decisione — adottata nell’ambito del meccanismo di sportello unico del GDPR con il coinvolgimento di tutte le autorità nazionali europee, incluso il Garante italiano — ha stabilito che il design di default di TikTok per gli utenti minori violava sia l’art. 25, par. 2 (privacy by default) sia l’art. 5, par. 1, lett. a) (principio di liceità, correttezza e trasparenza) del GDPR.
4. La Valutazione d’Impatto sulla Protezione dei Dati (DPIA) come strumento di privacy by design
L’art. 35 GDPR prescrive l’obbligo di effettuare una Valutazione d’Impatto sulla Protezione dei Dati (DPIA) prima di avviare trattamenti che presentino un rischio elevato per i diritti e le libertà degli interessati. La DPIA non è soltanto un adempimento formale: è lo strumento operativo che consente al titolare di identificare, in fase di progettazione, i rischi privacy del servizio che sta sviluppando e di adottare le misure di mitigazione necessarie prima del lancio.
Il Garante italiano, con le Linee guida del 7 aprile 2022 sulle DPIA, ha chiarito i criteri per stabilire quando la valutazione è obbligatoria e ha fornito una lista esemplificativa di trattamenti che la richiedono: trattamenti sistematici di dati biometrici, sistemi di monitoraggio della produttività dei dipendenti, app che trattano dati sanitari su larga scala, sistemi di profilazione comportamentale, sistemi di videosorveglianza a riconoscimento facciale. La mancata esecuzione di una DPIA obbligatoria è autonomamente sanzionabile ai sensi dell’art. 83, par. 4, lett. a), GDPR, indipendentemente dall’eventuale danno concreto agli interessati.
5. Il quadro sanzionatorio europeo
| Autorità | Anno | Soggetto sanzionato | Violazione design | Sanzione |
| DPC (Irlanda) | 2023 | TikTok Technology Ltd. | Privacy by default minori – profili pubblici di default | € 345.000.000 |
| DPC (Irlanda) | 2023 | Meta Platforms Ireland | Trattamento dati minori, design non conforme Instagram | € 405.000.000 |
| CNIL (Francia) | 2022 | Google LLC | Design del banner cookie – asimmetria opzioni accettazione/rifiuto | € 150.000.000 |
| CNIL (Francia) | 2023 | TikTok | Design cookie non conforme, mancata privacy by default | € 5.000.000 |
| Garante (Italia) | 2023 | Diverse app salute | Permessi eccessivi, over-collection, retention illimitata | Importi variabili |
| DSK (Germania) | 2022 | Meta Platforms Germany | Mancanza di default privato nelle impostazioni account |
V
Il percorso argomentativo delle autorità
Il concetto di «stato dell’arte»: una soglia mobile nel tempo
La formula «stato dell’arte» (in inglese:state of the art) contenuta nell’art. 25, par. 1, GDPR è una delle disposizioni a contenuto più dinamico dell’intero regolamento: stabilisce che il livello minimo di protezione richiesto dalla norma non è fisso, ma si adegua continuamente all’evoluzione delle tecnologie disponibili. Una misura tecnica di protezione che era «all’avanguardia» tre anni fa può essere diventata nel frattempo uno standard minimo, al di sotto del quale il titolare non può scendere senza violare l’art. 25.
Le autorità garanti europee hanno utilizzato questo parametro per valorizzare l’ampiezza dell’obbligo: la cifratura end-to-end dei dati in transito, che fino a pochi anni fa era considerata una misura straordinaria adottata solo da servizi ad alta sicurezza, è oggi ritenuta una misura minima richiesta dallo «stato dell’arte» per qualsiasi app che trasmetta dati personali su reti pubbliche. Lo stesso vale per l’autenticazione a due fattori, per i meccanismi automatici di cancellazione dei dati alla scadenza del periodo di conservazione, e per le tecniche di pseudonimizzazione dei log di sistema.
Privacy by design e AI Act: le intersezioni normative
Il Regolamento (UE) 2024/1689 (AI Act), applicabile in modo graduale a partire dall’agosto 2024, introduce obblighi che si sovrappongono e complementano quelli dell’art. 25 GDPR per i sistemi di intelligenza artificiale. Per i sistemi AI ad alto rischio — che includono l’IA usata per la selezione del personale, il credito, la profilazione, la sorveglianza biometrica — l’AI Act impone la «supervisione umana by design» e misure tecniche di robustezza e accuratezza integrate nel sistema prima della sua commercializzazione. Questi obblighi si aggiungono — e non si sostituiscono — a quelli dell’art. 25 GDPR: chi sviluppa un sistema AI che tratta dati personali deve rispettare entrambi i regimi, con il rischio di doppia sanzione in caso di violazione.
L’EDPB ha pubblicato nel marzo 2024 un Opinion preliminare sull’intersezione tra GDPR e AI Act, affermando che la privacy by design for AI richiede misure specifiche aggiuntive rispetto a quelle previste per i sistemi tradizionali: l’addestramento dei modelli su dati minimizzati e pseudonimizzati, la documentazione delle fonti dei dati di addestramento, i meccanismi di machine unlearning per rispondere alle richieste di cancellazione, e la trasparenza sull’uso di dati sintetici in luogo di dati reali.
Il ruolo del DPO nella supervisione del design
Il Responsabile della Protezione dei Dati (DPO) — figura obbligatoria per alcune categorie di titolari ai sensi dell’art. 37 GDPR — svolge un ruolo cruciale nel presidio della privacy by design. Le Linee guida EDPB 4/2019 hanno chiarito che il DPO deve essere coinvolto nei processi di sviluppo dei nuovi prodotti e servizi sin dalle fasi iniziali di progettazione, non soltanto al momento della verifica finale della conformità. Il DPO che venga consultato soltanto ex post — a prodotto già sviluppato, per «approvare» scelte già irreversibili — non può adempiere efficacemente alla propria funzione e il titolare rimane esposto al rischio di aver messo in commercio un prodotto non conforme.
Nella pratica delle aziende tecnologiche più avanzate, si sta affermando il modello del privacy engineering: l’integrazione di expertise giuridiche e tecniche in team misti che partecipano al processo di sviluppo fin dall’ideazione del prodotto. Questo modello — che non è imposto direttamente dall’art. 25, ma è la modalità più efficace di adempimento — è incoraggiato dall’EDPB nelle Linee guida 4/2019 come esempio di best practice.
⚠ Tre errori frequenti nella gestione della privacy by design
Errore n. 1 — Pensare che la privacy policy sostituisca la privacy by design. La privacy policy informa l’utente sul trattamento che avviene; la privacy by design modifica il trattamento per renderlo conforme sin dall’origine. Un servizio che raccoglie più dati del necessario non può essere «sanato» da una privacy policy che descriva accuratamente quella raccolta eccessiva: la violazione dell’art. 25 sussiste comunque.
Errore n. 2 — Ritenere che la DPIA sia obbligatoria solo per i «grandi» trattamenti. I criteri per l’obbligo di DPIA riguardano il rischio del trattamento, non la dimensione del titolare: una start-up che sviluppa un’app di tracciamento della salute può essere obbligata a effettuare una DPIA esattamente come una multinazionale farmaceutica.
Errore n. 3 — Non aggiornare le misure di privacy by design dopo il lancio del prodotto. Il requisito di conformità all’art. 25 è continuativo: lo «stato dell’arte» evolve nel tempo, e le misure adottate al momento del lancio potrebbero non essere più sufficienti dopo uno o due anni. È necessario un processo di revisione periodica della conformità delle misure tecniche e organizzative adottate.
VI
VI
Consigli operativi
Le indicazioni che seguono si rivolgono sia ai titolari del trattamento che intendano verificare la conformità delle proprie app e dei propri servizi digitali all’art. 25 GDPR, sia agli utenti che ritengano di essere stati interessati da design non conformi.
Per i titolari — 1. Privacy by design audit
Prima del lancio di qualsiasi nuova app o funzionalità, effettuare un audit sistematico dei flussi di dati: mappare ogni dato raccolto, la base giuridica del relativo trattamento, i destinatari, i tempi di conservazione, le misure di sicurezza adottate. Verificare che non esista un modo meno invasivo di ottenere lo stesso risultato funzionale con meno dati.
Per i titolari — 2. Revisione dei permessi richiesti
Analizzare sistematicamente ogni permesso di sistema richiesto dall’app (geolocalizzazione, rubrica, microfono, fotocamera, archivio) e verificare che ciascuno sia strettamente necessario per le funzionalità dichiarate. Richiedere i permessi contestualmente alla funzionalità che li utilizza, non all’installazione. Supportare i permessi «solo durante l’utilizzo» anziché «sempre» ove possibile.
Per i titolari — 3. Impostazioni di default conformi
Verificare che tutte le impostazioni di privacy siano configurate in modo restrittivo per impostazione predefinita: profilo privato, nessun sharing a terze parti, tracking pubblicitario disattivato, notifiche di sicurezza attive. Documentare formalmente le scelte di default e la loro giustificazione, per l’accountability ex art. 5, par. 2, GDPR.
Per i titolari — 4. DPIA obbligatoria per trattamenti a rischio
Verificare se il trattamento rientra nei criteri che rendono obbligatoria la DPIA (dati sensibili su larga scala, monitoraggio sistematico, sistemi AI ad alto rischio). Effettuare la DPIA prima dell’avvio del trattamento, con il coinvolgimento del DPO. Consultare preventivamente il Garante nei casi in cui la DPIA evidenzi rischi residui non mitigabili.
Per i titolari — 5. Coinvolgere il DPO dalla fase di ideazione
Integrare il DPO (o il consulente privacy) nel processo di sviluppo del prodotto a partire dalla fase di ideazione, non soltanto al momento della verifica finale. Adottare processi di Privacy Impact Assessment interni nel ciclo di sviluppo software (agile, scrum o waterfall): ogni sprint o fase di progettazione dovrebbe includere una verifica di conformità privacy.
Per gli utenti — 6. Segnalare le app non conformi al Garante
Gli utenti che riscontrino violazioni di privacy by design o by default nelle app che utilizzano (permessi eccessivi, default non conformi, condivisione non autorizzata dei dati) possono presentare segnalazione al Garante per la protezione dei dati personali attraverso il sito www.garanteprivacy.it. Le segnalazioni degli utenti sono una fonte primaria di attivazione delle istruttorie del Garante sulle app.
VII
Considerazioni conclusive
La privacy by design è passata, nell’arco di un decennio, da principio filosofico-informatico a obbligo giuridico sanzionato con sanzioni milionarie. Questa trasformazione riflette una presa di coscienza fondamentale: la protezione dei dati non può essere garantita soltanto attraverso regole e politiche, ma deve essere incorporata nella struttura tecnica degli strumenti con cui i dati vengono trattati. Un sistema informatico progettato in modo non conforme alla privacy continuerà a violare la privacy dei propri utenti a prescindere da quanto accurata sia la privacy policy che lo accompagna.
Per le imprese che sviluppano o gestiscono applicazioni digitali, l’investimento nella privacy by design non è soltanto una questione di compliance: è una scelta strategica. Le sanzioni per violazioni dell’art. 25 possono raggiungere il 2% del fatturato mondiale annuo (art. 83, par. 4, GDPR); la reputazione danneggiata da una violazione di design può costare molto di più. E il costo di integrare la privacy nel design sin dall’inizio è sistematicamente più basso di quello di riprogettare un sistema già avviato o di far fronte alle conseguenze di un data breach che una migliore architettura avrebbe potuto prevenire.
Per gli utenti, il diritto alla privacy by design è ancora largamente incompreso e scarsamente esercitato. Pochi sanno che possono segnalare al Garante un’app che richieda permessi eccessivi, o che possano contestare le scelte di default di una piattaforma che li esponga più del necessario. La prossima frontiera della tutela dei dati personali non è soltanto nelle aule di tribunale o negli uffici delle autorità garanti: è nel dialogo quotidiano tra utenti consapevoli e sviluppatori responsabili, in cui la scelta di design diventa la forma più immediata e concreta di rispetto della persona.
